2026년 10월 28일 9:02 (JST)
【일본】 특수 사기, 사이버 보안 범죄가 사회 문제로 대두되고 있습니다. 신용카드를 둘러싼 보안 공격도 그 일부이지만, 교묘해지는 피싱 공격에 대한 대책 등, 결제 업계만으로는 막아내기 어려워진 현실도 있습니다.결제 전문가인 마루야마 히데유키 씨가 부정 방지 대책의 역사라고도 할 수 있는 신용카드의 역사를 되짚어보며, 해외와 국내 결제 보안 대책을 둘러싼 동향에 대해 이야기했습니다. (2026년 9월 25일 개최된 ‘페이먼트 시큐리티 포럼 2026 Fall’ 강연 중에서)
마루야마 히데유키 씨(결제 분야 전문가)
결제 대책만으로는 따라잡을
수 없다 사회 문제로 대두되는 사이버 보안
이번 주제를 ‘해외 및 국내 결제 부정거래 방지 대책의 동향’으로 정했습니다.이 ‘페이먼트 내비’의 ‘보안 포럼’에서는 전신인 ‘신용카드 보안 포럼’ 시절부터 약 10년 동안 강연할 기회를 얻어 왔는데, 매번 ‘해외 및 국내 결제 부정거래 방지 대책의 동향’을 주요 주제로 다루어 왔으며, 이번에도 큰 틀에서 동일한 주제로 삼았습니다.
신용카드의 역사는 달리 말하면 부정 방지 대책의 역사라고도 할 수 있습니다. 그래서 이번에는 조금 과거의 상황도 되돌아보고자 합니다.신용카드 결제 생태계에는 카드 회원이 가맹점에서 카드를 이용하고, 발행사(Issuer)와 인수사(Acquirer)가 존재합니다. 예전에는 이 결제 생태계 내부만을 보안 대책의 대상으로 삼았지만, 이제는 그 내부만의 부정 방지 대책만으로는 따라잡을 수 없어, 결제 이외의 영역인 AI나 패스키에 대한 논의도 대책에 포함되고 있는 상황입니다.
결제 생태계를 넘어섰다는 의미에서 보면, 결제 부정 사용 방지 대책은 사이버 보안 대책 그 자체가 되었다고 할 수 있습니다.
결제 업계 30년 이상의 경험
보안 대책이 차세대
저는 전직 마스터카드(Mastercard) 및 아메리칸 익스프레스(American Express)에서 근무했습니다. 30년 이상 결제 업계에서 근무해 왔습니다. 그 기간 중 보안 관련 업무를 담당하던 2015년, 2016년경부터 경제산업성이 업계 단체와 함께 ‘신용거래 보안 대책 협의회’를 출범시켰고, 그 초기부터 위원으로 활동했습니다. 현재는 프리랜서로 활동하고 있습니다.
‘부정’을 바라보는 시각과 정의가 다르다
발행사 관점, 가맹점 관점이란
애초에 부정거래의 정의에 대해, 발행사 관점과 가맹점 관점의 차이에 대해 오랫동안 개인적으로 과제를 느끼고 있었습니다. 그 이유는 카드를 발행하는 발행사의 관점에서 본 부정거래는, 가맹점 측에서 보는 부정거래와 겹치는 부분도 있고 다른 부분도 있기 때문입니다.
발행사의 관점에서 본 부정거래는, 간단히 말해 일본신용협회에 보고되는 수치를 의미합니다. 구체적으로는 ‘위조 카드’, ‘번호 도용’으로, 원칙적으로 카드 소지자 이외의 제3자가 카드를 사용하는 것이 부정거래로 간주됩니다.
또한, 최근 발행사 측에서도 과제로 대두되고 있는 듯하지만, 제3자 이용 이외의 부정, 다시 말해 본인이 이용했을지도 모르는 부정도 있습니다. 해외에서는 예전부터 ‘패밀리 사기(Family Fraud)’, ‘프렌들리 사기(Friendly Fraud)’라고 불리던 부정으로, 구체적으로는 자녀가 마음대로 팁을 카드로 지불했거나, 게임 과금에 부모의 카드를 무단으로 사용당한 경우 등을 말합니다.
그 밖에도 발행사가 관리해야 할 부정 사용 사례로는 자금 세탁(머니 로닝)이 있으며, 국내에서는 범죄수익이전방지법의 적용 대상이 됩니다.
한편, 가맹점의 관점에서 보면 재판매를 목적으로 한 상품 구매도 부정거래에 해당합니다. 실제로 한정판 상품이나 티켓 등 고액 재판매 사례도 큰 화제가 된 바 있습니다. 다만, 이러한 수치는 일본신용협회의 부정피해 보고에는 포함되지 않습니다. 이러한 관점과 시각의 차이가 문제라고 생각합니다.
또한 가맹점 측에서는 3-D 시큐어를 도입해 차지백이 발생하지 않으면 부정 피해가 없었다고 생각하는 경향도 있습니다. 발행사 입장에서는 카드 이용자의 신고가 부정으로 처리되고 있으므로, 이러한 인식의 차이도 발생하고 있습니다.
발행사 관점·가맹점 관점과 동일한 구도
회사 내부에서도 사기를 바라보는 시각이 다르다
승인 총괄부, 가맹점 관리부 등 카드사 부장들이 같은 회의에서 나란히 앉아 이야기를 나누고 있어도 “어, 그런가요?”라고 말하는 상황을 자주 목격했습니다.카드사 내부에서도 협력이 제대로 이루어지지 않는데, 과연 부정거래 대책을 제대로 세울 수 있을까? 하는 생각이 개인적으로 자주 듭니다. 업계 외부에서 보면 카드사가 AI를 활용해 최첨단 부정거래 대책을 시행하고 있는 것처럼 보이지만, 가맹점 측에서 보는 시각과는 다소 차이가 있다는 점이 개인적으로 매우 신경 쓰입니다.
실제로 소위 승인률이나 3-D 시큐어 인증률에 뚜렷한 영향이 나타나고 있어, 쉽게 해결할 수 있는 문제가 아닙니다. 부정거래의 정의라는 측면에서 보면, 발급사 관점에서 승인 및 3-D 시큐어가 관리되고 있기 때문에 가맹점 입장에서는 각 사별로 개별적으로 대책을 마련해야 한다고 합니다.
자기 스트라이프 판독기에서 정보 탈취
고급 브랜드 소품을 구매한 직후 재판매
부정 거래의 역사를 살펴보면, 제가 카드 업계에 입문했을 무렵에는 칩 결제가 당연히 없었습니다. 당연히 인터넷도 없던 시대였으니, 마그네틱 스트라이프 카드의 시대였습니다. 당시 위조 카드를 만든다는 이야기가 여기저기서 들려오곤 했습니다.이른바 CAT 단말기(공동 이용 단말기) 안에, 아르바이트생으로 들어온 부정 행위자의 부하가 자기 줄무늬 판독 부위에 메모리 카드를 설치해 두곤 했습니다. 성냥갑 정도의 크기에 불과한 것이었지만, 3개월, 6개월 동안 방치해 두면 그곳에 스와이프한 카드 정보가 쌓여, 카드 정보를 빼낼 수 있게 됩니다.카드 정보 중에서도 법인용이나 고액 결제에 사용되는 카드 정보가 자동으로 쌓이게 됩니다. 이를 이용해 위조 카드를 제작하고 부정 사용하는 사례가 당시 보안 업계의 화제가 되곤 했습니다.
당시 그 카드 번호를 탈취하던 방식과 지금의 차이점을 말하자면, 단지 온라인으로 바뀌었을 뿐이라고 개인적으로 생각합니다. 카드 번호를 빼내서 무엇을 하느냐 하면, 상품을 구매해 재판매한다는 기본적인 사고방식은 별로 변하지 않았습니다.
지금은 부정 사용의 주 무대가 온라인으로 바뀌었고, 상품 배송이나 택배함 이용 등 필요한 요소도 달라지고 있지만, 특수 사기처럼 집단적으로 자행되는 사기는 당시부터 존재했으며, 단순히 시대가 변해가는 과정에서 수법이 점점 진화하고 있을 뿐이라고 생각합니다.
방어형 AI와 공격형 AI 중 어느 쪽이 더 강할까?
패스키 도입은 해외에 비해 늦다
수법이 진화하는 가운데, 당연히 대책도 바뀌어야 한다는 점에서, 마그네틱 스트라이프는 역시 쉽게 위조할 수 없도록 칩 방식으로 전환했습니다. 마찬가지로 3-D 시큐어나 토큰, 패스키의 시대로 점점 넘어오고 있다고 생각합니다.이 기간 동안 PCI DSS도 정기적으로 버전 업그레이드를 거쳐, 2027년에 다음 개정 버전이 나올 것이라는 이야기도 있었습니다.
사기 범죄의 역사를 살펴보면, 이른바 위조 카드 시대에서 번호 도용 시대로 기법이 변화해 왔습니다. AI도 활용되고 있습니다. 실시간 피싱도 흔히 발생하고 있습니다. 사칭, 계정 탈취 등 시대의 변화에 따라 기법은 달라지고 있지만, 범죄자가 존재한다는 사실은 변함이 없습니다. 또한, 점차 규모가 커지고 있다는 것은 사실이라고 생각합니다.
현재의 AI 시대에는 AI가 표적 기업의 시스템 취약점을 점검하여 이를 통해 공격을 가하거나, 대책 차원에서 AI를 활용해 부정 정보를 분석하고 탐지에 활용하고 있다는 이야기도 있습니다.그래서 ‘AI 대 AI라면 어떨까?’라는 질문을 받은 적도 있습니다. AI가 공격하는 쪽과 방어하는 쪽이라면 어느 쪽 AI가 이길까? 하는 질문인데, 저는 개인적으로 공격하는 쪽이 이길 것이라고 생각합니다.
방어 측은 기본적으로 지금까지 발생했던 패턴이 재현되지 않도록 하고, 발생하면 조기에 차단하는 것을 우선적으로 고려할 수밖에 없습니다. AI를 활용한 방어 측의 강점은 과거 데이터를 분석해 가능한 한 빨리 다음 2차 피해를 막는 데 있습니다. 반면 공격 측은 이를 극복하기 위해 취약점을 찾아냅니다.현재 취약점을 찾아보면, 각 기업의 전자상거래 사이트는 물론 은행, 증권사 등을 포함해 많이 발견되고 있다고 들었습니다. 수정해도 따라잡지 못한다는 말도 듣습니다. 그렇다면 역시 공격하는 쪽에 강점이 있습니다.
게다가 인증 방법으로는 기본적으로 FIDO2와 패스키를 대책으로 도입해야 한다고 생각합니다.패스키와 관련해 말하자면, 이 부분에서 일본과 해외의 도입 속도가 확연히 다르다는 점을 가장 크게 느낍니다. 일본에서도 경시청·경찰청이 증권 사기 사건 당시 도입을 강력히 추진했던 것처럼, 증권사뿐만 아니라 은행, 온라인 뱅킹, 카드사, 대형 전자상거래 사이트, 플랫폼 운영사도 이를 도입해야 한다고 생각합니다.
보안 대책을 알아보려면
정보 수집에 활용할 수 있는 사이트 소개
부정 방지 동향을 보면, 결제 단독의 부정 방지에서 사이버 보안 대책으로 전환되고 있습니다. 결제 부정 방지를 말하자면, 자기 스트라이프에서 칩, 3-D 시큐어, 네트워크 토큰으로 이어집니다. 결제 부정 방지는 브랜드가 제공하는 범위 정도에 불과하므로, 역시 사이버 보안 차원의 부정 방지 대책이 필요합니다.
보안 대책에 관해서는 국가사이버통괄실(National Cybersecurity Office), 경시청 사이버보안정보, 일본사이버범죄대책센터(JC3), 피싱대책협의회의 정보를 전체적인 동향으로서 파악해 두어야 할 것 같습니다.결제 자체는 전체 범죄의 일부에 불과하므로, 사이버 보안을 중심으로 거기서부터 결제 관련 사항이 파생될 것이라고 생각합니다.
경청해 주셔서 감사합니다.
